Trezor-Datenleck weitet sich aus: 67.000 weitere Kunden betroffen – Daten hätten längst gelöscht sein müssen

Der Hardware-Wallet-Hersteller Trezor hat das Ausmaß seines Datenlecks nach oben korrigiert. Rund 67.000 zusätzliche Kunden aus den USA sind betroffen, wie das Unternehmen in einem Update seiner Sicherheitsmitteilung einräumt. Damit steigt die Gesamtzahl der Betroffenen auf etwa 80.700. Im August war Trezor noch von 13.689 Fällen ausgegangen.

Brisant ist weniger die Zahl als die Herkunft der Daten. Die neu entdeckten Datensätze stammen aus einer früheren Zusammenarbeit mit dem Versanddienstleister und decken den Zeitraum November 2019 bis August 2021 ab. Sie sind damit fünf bis sieben Jahre alt – und hätten nach Trezors eigener Darstellung längst gelöscht sein müssen.

Trezor Datenleck: Diese Daten sind abgeflossen

Bei den 67.000 neuen Fällen handelt es sich durchweg um vollständige Datensätze: Name, E-Mail-Adresse, Telefonnummer, Lieferadresse und Bestellnummer. Betroffene wurden nach Unternehmensangaben direkt per E-Mail informiert. Wer keine Benachrichtigung erhalten hat, ist demnach nicht betroffen.

Die erste, im August gemeldete Tranche umfasste 11.742 Kunden mit vollständiger Offenlegung und weitere 1.947 mit Teildaten aus Name, Stadt und E-Mail-Adresse. Sie betraf Bestellungen zwischen dem 10. Mai und dem 8. August 2026 aus den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal. Bestellungen über Amazon waren nicht betroffen, da dafür ein anderer Logistikweg genutzt wird.

Trezors eigene Systeme, die Geräte selbst, private Schlüssel und Wallet-Backups wurden nach Unternehmensangaben zu keinem Zeitpunkt kompromittiert. Es gibt bislang auch keine Bestätigung dafür, dass die Kundendaten öffentlich zirkulieren oder zum Verkauf angeboten werden.

Warum die 90-Tage-Löschfrist das Leck nicht begrenzt hat

Im August hatte Trezor die überschaubare Fallzahl ausdrücklich mit der eigenen Datenspeicherrichtlinie begründet: Bestelldaten müssten 90 Tage nach Zustellung gelöscht oder anonymisiert werden, diese Frist gelte vertraglich auch für Logistikpartner. Ältere Daten, hieß es damals, hätten schlicht nicht mehr im System gelegen.

Genau diese Argumentation ist mit dem Update hinfällig. Trezor erklärt, man habe während der gesamten Partnerschaft wiederholt schriftliche Löschbestätigungen angefordert und auch erhalten. Man sei sehr enttäuscht, dass die Daten trotz dieser Bestätigungen nicht aus den Systemen des Dienstleisters entfernt wurden.

Der Vorgang legt eine strukturelle Schwachstelle offen, die weit über diesen Einzelfall hinausreicht. Löschpflichten gegenüber Auftragsverarbeitern werden in der Praxis über Verträge und schriftliche Zusicherungen abgebildet, aber nur selten technisch verifiziert. Eine Bestätigung per E-Mail ist keine Kontrolle. Solange Unternehmen die tatsächliche Löschung nicht prüfen, bleibt jede Aufbewahrungsrichtlinie eine Annahme.

Nicht Trezor wurde gehackt: Die Lücke lag in einem Analyse-Tool

Der Ursprung des Vorfalls liegt eine Ebene tiefer als beim Versanddienstleister. Ausgangspunkt war eine kritische Schwachstelle in der Business-Intelligence-Software Metabase, die unter der Kennung CVE-2026-72898 geführt und mit dem höchstmöglichen Schweregrad von 10.0 bewertet wird.

Die Lücke erlaubt es einem nicht authentifizierten Angreifer, über den Passwort-Reset-Endpunkt SQL-Befehle einzuschleusen und Administratorrechte zu erlangen. Weil ein solches Analyse-Werkzeug die Zugangsdaten sämtlicher angebundener Datenbanken vorhält, genügt ein einziger erfolgreicher Zugriff, um weit dahinterliegende Bestände auszulesen.

Der Zeitablauf zeigt, wie eng das Fenster war: Der erste bekannte Angriff lief am 2. August, einen Tag später erkannte der Hersteller Angriffe auf seine Cloud-Umgebung, am 6. August folgten Sicherheitshinweis und Patch. Die offizielle CVE-Kennung wurde erst am 10. August vergeben, einen Tag darauf nahm die US-Cybersicherheitsbehörde die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen auf. Zum Zeitpunkt der Veröffentlichung hatten bereits mehrere Unternehmen Kundendatenabflüsse eingeräumt, darunter ein Notebook-Hersteller, ein Software-Anbieter aus dem Data-Science-Bereich und ein Automatisierungsdienst. Die Erpressergruppe ShinyHunters listete den Softwarehersteller wenige Tage später auf ihrer Leak-Seite, allerdings ohne Angaben zum Umfang. Eine unabhängige Bestätigung der Zuordnung steht aus.

Für Anleger ist die Einordnung relevant: Betroffen ist hier nicht die Sicherheitsarchitektur einer Hardware-Wallet, sondern eine Lieferkette aus Dienstleistern und Software-Zulieferern, auf die der Hersteller nur mittelbar Zugriff hat.

Wie hoch ist das Risiko für betroffene Trezor-Kunden?

Das unmittelbare Risiko liegt im Phishing. Wer über Name, Wohnanschrift, Telefonnummer und Bestellnummer verfügt, kann Betrugsversuche mit einer Detailtiefe gestalten, die klassische Massenmails nicht erreichen. Denkbar sind gefälschte Sicherheitswarnungen im Namen des Herstellers, Anrufe vermeintlicher Support-Mitarbeiter oder postalisch zugestellte Schreiben mit QR-Codes.

Die einzige Konstante bleibt: Der Wiederherstellungssatz wird niemals abgefragt. Keine legitime Kommunikation eines Wallet-Herstellers, einer Bank oder einer Börse verlangt die Eingabe der Seed-Wörter, weder auf einer Website noch in einer App noch am Telefon.

Trezor warnt darüber hinaus ausdrücklich vor möglichen Risiken für die physische Sicherheit der Betroffenen. Diese Formulierung ist ungewöhnlich deutlich, hat aber einen realen Hintergrund. Eine Liste privater Wohnanschriften von Hardware-Wallet-Käufern ist faktisch eine nach Vermögensvermutung vorsortierte Adressdatei. Der Vergleichsfall aus dem Jahr 2020, bei dem die Bestelldaten eines Wettbewerbers offengelegt wurden, zeigt die Halbwertszeit solcher Datensätze: Damals wurden zunächst rund eine Million E-Mail-Adressen und etwa 9.500 Detaildatensätze gemeldet, bevor sich Monate später herausstellte, dass rund 272.000 vollständige Adressdatensätze im Umlauf waren. Sie sind bis heute in einschlägigen Datenbanken auffindbar.

Der zeitliche Abstand schützt also nicht. Wer 2019 oder 2020 bestellt hat, wohnt statistisch überwiegend noch dort – und hat seither einen erheblichen Kursanstieg mitgenommen.

Sind deutsche Trezor-Kunden betroffen?

Nach der bisherigen Kommunikation nicht. Die 67.000 neuen Fälle betreffen ausschließlich US-Kunden, und Deutschland taucht auch in der Länderliste der ersten Meldung nicht auf. Für den überwiegenden Teil der Betroffenen greift damit nicht die europäische Datenschutz-Grundverordnung, sondern das uneinheitliche Melderecht der US-Bundesstaaten.

Die strukturelle Frage stellt sich dennoch. Verantwortlich im datenschutzrechtlichen Sinn ist ein Unternehmen mit Sitz in Tschechien, der Auftragsverarbeiter sitzt in den USA. Hätte derselbe Vorgang europäische Kunden getroffen, stünde die Frage im Raum, ob das Überprüfungsrecht gegenüber dem Auftragsverarbeiter jemals über die Entgegennahme schriftlicher Bestätigungen hinaus ausgeübt wurde.

Als Reaktion hatte Trezor bereits im August einen anonymisierten Versandweg angekündigt, mit separatem Checkout, Abholung an Paketstationen, neutraler Verpackung und automatischer Löschung der Versandkennungen nach Zustellung. Für den europäischen Markt war die Einführung für September 2026 vorgesehen, für die USA bis Jahresende.

Wer sein Adressrisiko unabhängig davon senken will, hat wenige, aber wirksame Optionen: eine E-Mail-Adresse verwenden, die nicht mit der eigenen Identität verknüpft ist, per Kryptowährung oder Einweg-Karte zahlen und eine Lieferadresse nutzen, die nicht der Wohnadresse entspricht. In der Auswertung des Vergleichsfalls von 2020 hatte gerade einmal rund ein Prozent der Käufer diesen Schutz genutzt.